PPPoE сървър MikroTik за ISP

Накратко PPPoE сървър MikroTik позволява на ISP да удостоверява абонати, да дава на всеки IP адрес и да налага ограничение на скоростта по план — всичко от RouterOS, без външен RADIUS при малки внедрявания. Настройката е къса, подредена верига: IP пул, PPP профил, secrets на абонати, услугата PPPoE и NAT. По-трудният проблем не е да конфигурирате един концентратор, а да изпълнявате последователна, проверима конфигурация на много от тях — често зад CGNAT. Това ръководство покрива и двете.

Какво Е PPPoE Сървър MikroTik?

PPPoE сървър MikroTik е услуга на RouterOS, която удостоверява всеки абонат през Point-to-Point Protocol over Ethernet, дава му IP от пул и прилага профил, контролиращ неговия шлюз, DNS и ограничение на скоростта. Така повечето малки и средни ISP управляват връзките на клиентите: клиент се свързва с потребителско име и парола, сървърът проверява идентификационните данни, а сесията наследява зададения план — удостоверяване на потребител, присвояване на IP и контрол на честотната лента без отделно оборудване (Документация на MikroTik — PPPoE).

PPPoE остава стандарт за ISP заради отчетността. Всеки абонат има индивидуални идентификационни данни, така че можете да деактивирате акаунт при неплащане, да виждате кой е онлайн и да обвържете фиксиран адрес или скорост с човек — нищо от това доставката чрез bridge или DHCP не предлага чисто. Цялата конфигурация се свежда до една идея: дефинирайте плана веднъж в профил и след това прикачете абонатите към него.

Стъпка 1 — Създайте IP пула

Започнете с адресите, които RouterOS ще заема на абонатите. Пулът е именуван блок — например /ip pool add name=pppoe-pool ranges=10.20.0.2-10.20.255.254 — оразмерен спрямо едновременните сесии, които този концентратор ще носи, с резерв. Дръжте адреса на шлюза на профила (тоест local-address) извън заемния диапазон, за да не бъде никога даден на клиент по погрешка.

Оразмерете пула спрямо хардуера — скромен рутер поема стотици сесии, устройство от клас CCR — хиляди (Tech@Layer-x — PPPoE Server on MikroTik for ISP Deployments). За да раздавате публични IP вместо това, насочете пула към своя маршрутизируем блок и пропуснете NAT в Стъпка 5.

Стъпка 2 — Изградете PPP профила

PPP профилът е мястото, където живее планът. Той задава local-address (шлюза, който вижда всеки абонат), пула remote-address от Стъпка 1, DNS сървърите и — най-важното за ISP — rate-limit, който ограничава всяка сесия. Задайте профила на абонат и той наследява скоростта, така че план „20/10“ е един профил, използван повторно на хиляди акаунти (madankc.com.np — MikroTik PPPoE Server Complete Setup Guide).

Един детайл подвежда почти всеки: посоката. RouterOS чете rate-limit на профила като rx-rate/tx-rate от гледна точка на сървъра — първо качването на абоната, после свалянето, обратно на това как клиентите описват плана си. Пакет „100 Mbps надолу / 30 Mbps нагоре“ се записва rate-limit=30M/100M. Разменете го и всеки клиент тихо получава разменен план — точно онази грешка в мащаб на флота, която шаблонната конфигурация предотвратява.

Стъпка 3 — Добавете secrets на абонати

Всеки абонат се нуждае от „secret“ — потребителско име, парола и профила, който дефинира плана му, създаден под /ppp secret. За малка база това е цялата база данни с потребители: добавете secret на клиент, по избор фиксирайте remote-address за статичен IP и деактивирайте secret, за да прекъснете услугата. Това е същата отчетност на идентификационни данни, която User Manager на MikroTik разширява за абонати на hotspot, разгледана в нашето ръководство за шлюза за hotspot 10.5.50.1 и User Manager.

Локалните secrets спират да мащабират в диапазона от стотици до хиляди, където редактирането на един рутер при всяка промяна на клиент става тясно място. В този момент премествате удостоверяването на външен RADIUS сървър, а концентраторите просто питат RADIUS дали едно влизане е валидно — базата данни с абонати остава на едно място.

Стъпка 4 — Активирайте PPPoE сървъра на достъпния интерфейс

Сега включете услугата. Добавете PPPoE сървър с /interface pppoe-server server, свържете го с интерфейса, обърнат към вашата достъпна мрежа (порт, VLAN или bridge), задайте неговия default-profile на профила от Стъпка 2 и изберете методите за удостоверяване — pap, chap или mschap2. RouterOS тогава отговаря на PPPoE откриване на този интерфейс и удостоверява всеки клиент, който се свързва с валиден secret.

Две настройки имат значение в мащаб. Опцията one-session-per-host пречи на абонат да отвори няколко едновременни сесии, а max-mtu/max-mru трябва да са зададени така, че режийните на PPPoE да не фрагментират клиентския трафик. Където достъпната мрежа е сегментирана по клиент или зона, нашето ръководство за конфигуриране на bridge MikroTik покрива основата на Слой 2, върху която сървърът се опира.

Стъпка 5 — Добавете правила за NAT и защитна стена

Ако в Стъпка 1 сте задали на абонатите частни адреси, трафикът им се нуждае от транслация. Добавете правило masquerade във веригата srcnat, свързано с вашия изходящ WAN интерфейс, така че всяка PPPoE сесия да достига интернет — същите основи на NAT, разгледани в нашето ръководство за конфигуриране на NAT на MikroTik. Ако сте раздали публични IP, пропуснете masquerade и маршрутизирайте блока.

След това защитете концентратора. Услугата PPPoE трябва да е достъпна за абонатите, но управленските интерфейси на рутера не, затова добавете правила на защитната стена, които отхвърлят достъп Winbox, API и WebFig от страната, обърната към абоната. Концентратор, носещ реални приходи от клиенти, е точно устройството, което не искате да е достъпно от отвлечена сесия.

Стъпка 6 — Управлявайте и проверявайте флота дистанционно

Ето частта, която уроците за един рутер пропускат. Да вдигнете PPPoE на едно устройство е лесно; да изпълнявате еднакви профили, MTU настройки и правила на защитната стена на десетки концентратори — и да докажете, че всеки удостоверява сесии и налага правилните rate limits — е истинският проблем на ISP. Става по-трудно, когато достъпен рутер стои зад Carrier-Grade NAT без публичен IP, все по-често, тъй като операторите разчитат на LTE и Starlink аплинкове.

Тук централизираното управление заслужава мястото си: MKController поддържа всеки рутер достъпен през удостоверен изходящ тунел дори когато няма публичен адрес — същият подход като в нашето ръководство за отдалечен достъп MikroTik зад CGNAT — така одитирате конфигурацията и разпространявате поправки върху цялата флота, с телеметрия, която сигнализира устройство със спаднали сесии, преди клиентите да се обадят.

Съвети

• Шаблонизирайте профила, не secrets — всяка промяна на плана трябва да засяга един профил, никога хиляди акаунти.
• Следете CPU на концентратора: опашките на сесия от rate-limit се натрупват, а претоварено устройство тихо изпуска сесии.
• Задавайте max-mtu/max-mru съзнателно. PPPoE добавя 8 байта режийни, а получената фрагментация е скритата причина за повечето сигнали „бавно е на една локация“.
• Централизирайте удостоверяването над няколкостотин потребители — локални secrets, разпръснати по рутерите, стават невъзможни за одит.

Управлявайте целия си PPPoE край от един екран

PPPoE сървър на един MikroTik е лесен. Да го изпълнявате върху флота на ISP — еднакви профили, правилната посока на rate-limit на всяко устройство, заключено управление и доказателство, че всеки концентратор удостоверява дори зад CGNAT без публичен IP — е там, където операторите губят цели следобеди. Това е работата, за която е създаден MKController: да достигне всеки рутер през защитен изходящ тунел, да одитира конфигурацията, да наблюдава сесии на живо и да разпространи поправка върху цялата флота наведнъж, с телеметрия, която сигнализира устройство със спаднали сесии, преди клиент изобщо да се обади. Така ISP, изпълняващи PPPoE на MikroTik, превръщат досадната работа рутер по рутер в една единствена контролна равнина.

Започнете безплатния си пробен период на MKController